WAAA : quand les navigateurs agentiques ressuscitent les attaques web

De quoi s’agit-il ?

Dans « WAAA! Web Adversaries Against Agentic Browsers » (arXiv 2605.05509, soumis le 6 mai 2026, cs.CR), Sohom Datta, Alex Nahapetyan, William Enck et Alexandros Kapravelos soutiennent que la recherche sur la sécurité des navigateurs agentiques a un angle mort. La quasi-totalité des travaux antérieurs n’étudie qu’une seule menace : l’injection de prompt indirecte. Mais un navigateur agentique reste un navigateur, qui pilote de vraies sessions authentifiées, et il hérite donc de tout l’historique des attaques web traditionnelles — falsification de requête intersite (CSRF), détournement de clic (clickjacking), vol de données entre origines, habillage d’interface et toute l’ingénierie sociale conçue pour tromper les humains. Les auteurs établissent le premier modèle de menace centré web pour ces systèmes et en dérivent une taxonomie de 20 attaques couvrant le web et l’espace LLM, dont ils implémentent 18.

Comment ça marche

Les auteurs étendent le modèle standard See → Act d’un agent navigateur pour couvrir tous les composants d’un navigateur, puis décrivent l’agent comme un adjoint confus (confused deputy) : un acteur privilégié incapable de distinguer de façon fiable une étape de tâche légitime d’une instruction ou d’un élément d’interface placés par un attaquant sur la page. C’est cette seule propriété qui rouvre d’anciennes plaies.

Les navigateurs modernes ont passé deux décennies à bâtir des défenses — la plus importante étant la politique de même origine (SOP) — pour empêcher un site de lire ou d’agir sur un autre au nom de l’utilisateur. Un agent LLM opérant à travers onglets et sessions peut être manipulé par du contenu de page non fiable pour réaliser précisément ces actions interdites entre origines, contournant de fait les frontières que le navigateur était censé faire respecter. Résultat, selon le papier : 10 menaces web réapparaissent, souvent amplifiées, dès que l’agent peut être influencé par le contenu qu’il lit. Le CSRF classique exigeait qu’une victime soit piégée pour émettre une seule requête falsifiée ; un agent peut être convaincu d’enchaîner de nombreuses actions de ce type entre origines au nom de la « réalisation de la tâche ».

Le papier ne traite pas cela comme une bizarrerie d’un seul modèle. Une étude de généralisabilité exécute 14 des 20 attaques sur 4 grands modèles LLM de plusieurs fournisseurs et constate qu’elles se reproduisent, ce qui pointe vers une faiblesse de paradigme plutôt que vers un produit isolé bogué. Les résultats se résument en cinq grands modes de défaillance — les façons récurrentes dont les navigateurs agentiques cèdent face aux menaces web traditionnelles et LLM — amenant les auteurs à conclure que ces systèmes doivent être ré-architecturés avant d’être prêts pour le web actuel.

Pourquoi c’est important

La leçon pour les concepteurs est inconfortable : durcir un navigateur agentique uniquement contre l’injection de prompt est nécessaire, mais très loin d’être suffisant. La surface d’attaque est l’union des attaques LLM et de tout le catalogue historique des attaques web, et l’autonomie de l’agent transforme des exploits jadis dépendants de l’utilisateur (il fallait que la victime clique) en exploits automatisés (c’est l’agent qui clique). Comme l’agent porte les cookies et les sessions de l’utilisateur, le rayon d’impact est tout ce que ces sessions peuvent atteindre — messagerie, banque, outils internes. Quiconque déploie un agent qui navigue et agit au-dessus d’un modèle de pointe est exposé, quel que soit le fournisseur choisi.

Défenses

La prescription centrale du papier est architecturale, et non un simple filtre :

• Réimposer les frontières d’origine à l’agent. Traitez l’agent comme un acteur inter-origines non fiable et réappliquez une isolation de type politique de même origine à ses actions, plutôt que de le laisser franchir librement onglets, sessions et origines.
• Séparer l’intention de la tâche du contenu de la page. Le problème de l’adjoint confus est la cause racine ; les défenses doivent fournir à l’agent un canal de confiance pour sa tâche réelle et refuser de prendre pour une autorité les instructions ou les « boutons » rendus par des pages non fiables.
• Verrouiller les actions modifiant l’état et inter-origines. Exigez une confirmation utilisateur explicite et délimitée pour les opérations sensibles (envoi de formulaire, paiements, partage, accès fichiers) — ne laissez pas l’agent les compléter automatiquement parce qu’une page le demande.
• Tester l’union, pas seulement l’injection de prompt. Soumettez les navigateurs agentiques au catalogue des attaques web classiques — CSRF, clickjacking, habillage d’interface, lectures inter-origines — et sur plusieurs modèles de base, puisque les défaillances se transfèrent.

Statut

Élément	Détail
Divulgation	arXiv 2605.05509, soumis le 6 mai 2026 (cs.CR)
Auteurs	S. Datta, A. Nahapetyan, W. Enck, A. Kapravelos
Périmètre	Premier modèle de menace centré web pour navigateurs agentiques ; taxonomie de 20 attaques, 18 implémentées
Constat clé	10 menaces web longtemps neutralisées réapparaissent (souvent amplifiées) ; reproductibles sur 4 LLM / plusieurs fournisseurs ; 5 modes de défaillance
Mitigation	Ré-architecturer les agents autour de l’isolation d’origine et du confinement de l’adjoint confus, pas seulement du filtrage d’injection de prompt